VMware vDefend Security
Zero Trust für das moderne Data Center
Lange Zeit galten Perimeter-Firewalls als Standard in der IT-Sicherheit. Doch in modernen, verteilten Rechenzentrums- und Cloud-Infrastrukturen reichen Kontrollen am Netzwerkrand nicht mehr aus. 80 Prozent der Kommunikation findet heute intern (Ost-West) statt und wird daher von einer traditionellen Firewall nicht erfasst. Einmal eingedrungen, können sich Cyberkriminelle bei solchen Cyberangriffen ungestört lateral im Netzwerk bewegen. Gefragt ist daher eine Distributed Firewall, die Segmentierung und interne Kontrollen ermöglicht – bereits dort, wo die Kommunikation beginnt.
Genau das bietet VMware vDefend. Die softwarebasierte Sicherheitsplattform erweitert VMware NSX und integriert Distributed Firewalling direkt auf Hypervisor-Ebene. Dadurch gewinnen Unternehmen mehr Visibilität und Sicherheit, ohne die Performance negativ zu beeinträchtigen. Als VMware Pinnacle-Partner unterstützt SVA Unternehmen dabei, Zero Trust Security mit vDefend umzusetzen.
Warum braucht man eine Distributed Firewall?
Durch den zunehmenden Cloud-Einsatz verschwimmen Netzwerkgrenzen. Anwendungen sind heute häufig als Microservices aufgebaut und in einer Multi-Tier-Architektur über viele Container und Server verteilt. Perimeter-Firewalls kontrollieren jedoch nur den Datenverkehr zwischen verschiedenen Netzwerken – nicht zwischen Servern, VMs und Containern.
Um Bedrohungen frühzeitig zu erkennen und zu stoppen, müssen Unternehmen interne Kontrollen etablieren. Regularien wie NIS-2 und DORA und der BSI IT-Grundschutz schreiben daher Netzwerksegmentierung verpflichtend vor. Traditionelle Firewall-Appliances stoßen hier an ihre Grenzen.
Das Hairpinning-Problem
Beim sogenannten Hairpinning geht es darum, dass Netz-zu-Netz-Verkehr durch eine zentrale Firewall fließen muss, um kontrolliert zu werden. Befinden sich mehrere VMs auf demselben (physischen) Server in unterschiedlichen Netzwerken, können diese nicht direkt miteinander kommunizieren[SK3.1]. Stattdessen wird jede Anfrage erst von der VM an die Firewall und wieder zurück an die andere VM geleitet. Dieser Umweg führt zu Latenzen und Engpässen im Netzwerk. Je mehr VMs und Server hinzukommen, desto stärker wird die zentrale Firewall zum Flaschenhals, den alle Anfragen passieren müssen.
Distributed Firewalling mit VMware vDefend und SVA
VMware vDefend setzt eine Distributed Firewall direkt auf Hypervisor-Ebene um. Dadurch wird die Firewall-Funktion softwarebasiert bereitgestellt und auf viele Instanzen verteilt. In Folge muss der Traffic nicht mehr durch eine zentrale Appliance umgeleitet werden, sondern wird direkt an der Kommunikationsquelle überprüft. vDefend löst damit das Hairpinning-Problem. Zudem kann eine Distributed Firewall – im Gegensatz zu einer klassischen Firewall – die Kommunikation zwischen VMs im selben Netzwerk sehen und kontrollieren.
Bessere Skalierbarkeit & Automatisierung
Dadurch, dass die Firewall direkt im Hypervisor bereitgestellt wird, wächst sie automatisch mit und sichert jeden neuen Host im Cluster ab. Administratoren können VMs oder Container mit Tags klassifizieren und gruppieren, sodass diese automatisch dieselben Policies erhalten. Das spart enormen Aufwand und ermöglicht Self Services: Wenn ein Entwickler einen neuen Webserver ausrollt, wird dieser sofort durch die passenden Regeln geschützt, ohne dass ein Ticket erforderlich ist. Wird eine VM oder ein Container in eine andere Umgebung verschoben, wandert die Konfiguration mit.
Unterstützung von Experten
vDefend wird allerdings erst dann wirksam, wenn man die Lösung richtig konfiguriert und in bestehende Umgebungen integriert. Hier kommt SVA ins Spiel: Die Experten beraten ganzheitlich und entwickeln ein individuelles Zero-Trust-Konzept für Sie. Das erfordert tiefes Wissen auch über die VMware-Grenzen hinaus.
Wichtige Fragen sind zum Beispiel:
- Welche Services und Anwendungen sind im Netzwerk aktiv?
- Welche Kommunikationsbeziehungen sollen erlaubt oder blockiert werden?
SVA unterstützt nicht nur bei der Konfiguration der Distributed Firewall, sondern auch bei komplexen Sicherheitsprozessen und Security-Themen wie Mikrosegmentierung, Kubernetes-Integration, Ransomware-Schutz und Netzwerk-Traffic-Analyse.
Die wichtigsten Use Cases für VMware vDefend Security
VMware vDefend deckt viele Sicherheitsanforderungen in modernen IT-Umgebungen und Rechenzentren ab. Dank der verteilten Architektur ist die Funktionalität selbst dann gewährleistet, wenn es einem Angreifer gelingt, ins Netzwerk einzudringen. Selbst mit Root-Rechten kann er die Firewall nicht außer Kraft setzen.
Das sind die wichtigsten Use Cases für VMware vDefend Security in der Bedrohungsabwehr:
Bessere Visibilität & Kontrolle
Die Distributed Firewall macht sichtbar, was innerhalb der Netzwerke passiert. Sie identifiziert verdächtigen Traffic sofort und kann ihn bereits am Entstehungsort unterbinden. Dadurch werden Bedrohungen früher erkannt und können sich nicht weiter ausbreiten. VMware vDefend bietet darüber hinaus tiefe Analysen und visualisiert sämtliche Kommunikationsbeziehungen. Administratoren sehen in einer übersichtlichen Konsole, welche Datenflüsse wann durch welche Firewall-Regeln blockiert wurden, und erhalten Policy-Empfehlungen. Ein Security-Score zeigt die größten Risiken an.
Mikrosegmentierung
Mit vDefend können Unternehmen ihre Netzwerke in kleine, kontrollierte Zonen unterteilen und jede einzelne Workload individuell absichern. Diese Mikrosegmentierung bildet die Grundlage für ein Zero-Trust-Security-Konzept. Sie kontrolliert den Ost-West-Datenverkehr innerhalb des Netzwerks und verhindert, dass sich Bedrohungen ausbreiten können. Netzwerksegmentierung zählt heute in der Regulatorik als „Stand der Technik" und ist in vielen Security-Frameworks wie BSI-IT-Grundschutz, PCI-DSS oder ISO/IEC 27001:2022 vorgeschrieben.
Ransomware-Schutz
Ein typischer Ransomware-Angriff verläuft in mehreren Phasen: Nach der ersten Infiltration – etwa über Phishing oder eine Schwachstelle – bewegen sich Cyberkriminelle lateral im Netzwerk, erweitern ihre Privilegien und spionieren lukrative Ziele aus. Häufig werden sie erst dann entdeckt, wenn Daten abfließen oder es zur Verschlüsselung kommt. vDefend macht sämtliche Aktivitäten im Netzwerk sichtbar. Mikrosegmentierung unterbindet die Ausbreitung zwischen Workloads, während Intrusion Detection and Prevention System (IDPS), Network Detection & Response (NDR) und Malware Prevention verdächtiges Verhalten erkennen und Gegenmaßnahmen einleiten können – bevor sich ein Vorfall flächendeckend ausweitet.
Container/Kubernetes Security
Viele Unternehmen betreiben heute Microservices in Kubernetes-Clustern, die hochdynamisch sind: Container entstehen und verschwinden fortlaufend. Mit vDefend lassen sich Kubernetes-Umgebungen in ein ganzheitliches Security-Konzept integrieren. Sobald ein neuer Container ausgerollt wird, ist er automatisch abgesichert. Über eine zentrale Security-Konsole können Administratoren Richtlinien für VMs und Container gemeinsam verwalten. Die Integration erfolgt durch das Zusammenspiel mit der Kubernetes-nativen Netzwerklösung Antrea.
VMware vDefend Security auf einen Blick
VMware vDefend ist als Add-on zur VMware Cloud Foundation (VCF) erhältlich. VCF fasst die Kerntechnologien von VMware für Computing, Storage und Networking in einem Komplettpaket für ein Software-Defined Data Center zusammen. vDefend ist tief in vSphere integriert und setzt VMware NSX als Basistechnologie voraus.
vDefend kann sowohl VMs als auch Container-Umgebungen absichern. Hardware-basierte Systeme lassen sich über Agenten einbinden. Neben Distributed Firewalling umfasst die Lösung weitere Funktionen wie Bedrohungserkennung und Prävention durch Intrusion Prevention System/Intrusion Detection System (IDP/IDS), Malware Prevention, Network Detection & Response (NDR) sowie Security Intelligence.
Die Bereitstellung von vDefend-Instanzen kann vollständig automatisiert im Self Service erfolgen. Konfigurationen und Policies lassen sich zentral steuern und automatisiert ausrollen. Dadurch sparen Unternehmen Zeit und Kosten – und erhöhen die Flexibilität, Skalierbarkeit und Sicherheit.
Sie haben Fragen?
Falls Sie mehr zu diesem Thema erfahren möchten, freue ich mich über Ihre Kontaktaufnahme.
Zum Kontaktformular
